Francis Guibernau, AttackIQ’de Senior Adversary Research Engineer – Röportaj Serisi

Francis Guibernau AttackIQ’de Senior Adversary Research Engineer ve Adversary Research Team (ART) üyesidir. Francis, gerçekçi ve sofistike adversary emülasyonları tasarlamak ve oluşturmak için derinlemesine tehdit araştırmaları ve analizleri yürütür. Ayrıca, adversariaları, malware ailelerini ve siber güvenlik olaylarını araştırmaya, analiz etmeye, izlemeye ve belgelemeye odaklanan Cyber Threat Intelligence (CTI) projesini koordine eder. Francis, hem Nation-State hem de eCrime tehditlerini kapsayan adversary istihbaratı, ayrıca Deloitte ve BNP Paribas’da çalıştığı süre boyunca vulnerabilite değerlendirme ve yönetimi konularında geniş deneyime sahiptir.

AttackIQ bir siber güvenlik şirketidir ve organizasyonları savunma mekanizmalarıyla ilgili varsayımların ötesine geçerek sürekli, veri odaklı doğrulamaya geçmelerine olanak tanır. MITRE ATT&CK® modelini kullanarak adversary taktiklerini emüle ederek ve bulut, hibrit ve şirket içi ortamlarda otomatik, üretim güvenli testler sunarak, şirket güvenlik kontrollerinde, süreçlerinde ve insanlarda güvenlik açıklarını ortaya çıkarmalarına yardımcı olur – böylece liderlerin düzeltmeleri önceliklendirmesine, yatırımları haklı çıkarmasına ve reaktif siber tepkiden proaktif dayanıklılığa geçmesine olanak tanır.

Siber güvenlik alanına nasıl katıldınız ve neden Cyber Threat Intelligence alanında uzmanlaşmaya karar verdiniz? CTI, tehditlerin hem nation-state hem de suç ekosistemleri boyunca nasıl evrildiğini anlamak konusunda sizi nasıl etkiledi?

Siber güvenlik alanına girişim nowhere planlı değildi; daha çok fırsat tarafından yönlendirildi. Bu, benim bir olgun siber güvenlik organizasyonuna katıldığım zaman başladı, burada iki ana alanda çalıştım: Vulnerabilite Değerlendirme ve Yönetimi ve Cyber Threat Intelligence (CTI). Vulnerabilite Yönetimi aracılığıyla, savunmacıların perspektifini kazandım – sistemlerin düzgün şekilde bakımı, yamaları ve saldırılarına karşı dayanıklı olması sağlanıyordu. CTI içinde, saldırganların zihniyetini benimsedim, onların motivasyonlarını, hedeflerini ve yeteneklerini analiz ettim. İşte burada MITRE ATT&CK Framework ile derinlemesine aşina oldum, bu frameworkü kullanarak adversary Taktik, Teknik ve Prosedürleri (TTP’ler) belgeledim ve operasyonel playbook’larını tanımladım.

Bu çift deneyim, savunmacıların ve saldırganların sürekli değişen bir ekosistem içinde nasıl etkileşimde bulunduğunu comprende bir anlayış verdi. CTI nhanh chóng kişisel bir tutku haline geldi. Stratejik amacının, adversariaların nasıl çalıştıklarını, nasıl evrildiklerini ve birbirlerini nasıl etkilediklerini anlamak hissetti neredeyse kader gibi. Bu disiplinde çalışmaya devam etmekten memnuniyet duyuyorum, küresel tehdit manzarasının artan karmaşıklığını gözlemleyerek ve analiz ederek, devlet destekli ve eCrime adversarialarının, birbirlerinin operasyonlarını şekillendirmeye devam ettiklerini görüyorum.

Geriye bakıldığında, kariyerinizde bir dönemeç noktası olarak hangi proje veya deneyimi işaret edersiniz ve bu, siber güvenlik konusundaki perspektifinizi nasıl şekillendirdi?

Bir dönemeç noktası, benim adversary TTP’lerini ve malware’nin kontrol edilen ortamları nasıl tespit edip kaçınabileceğini araştırmaya ve belgelemeye başladığım zaman geldi. Bu effort, “Environment Awareness” adlı bir araştırma projesi haline geldi, bu projeyi arkadaşım ve meslektaşım Ayelen Torello ile birlikte gerçekleştirdim ve şimdi AttackIQ’de birlikte çalışıyoruz. Araştırma, adversariaların sanal veya kontrol edilen ortamları tanıyıp kaçınmak için kullandıkları farklı yöntemleri kataloglamak üzerine odaklandı, böylece otomatik analiz sırasında tespit edilmelerini önledi. Sonuçlanan whitepaper daha sonra MITRE ATT&CK Framework’ünde “T1497 – Virtualization/Sandbox Evasion” tekniği olarak kabul edildi.

Bu araştırma sırasında, adversariaların sürekli evrimini gördüm, onların payload’lerinin giderek daha sofistike hale geldiğini ve otomatik tespit sistemlerinden kaçınma yeteneklerinin arttığını gözlemledim, bu da gerçek hedefleri başarıyla tehlikeye atma şanslarını tăngtırdı. Bu deneyim, adversariaların adaptasyon yeteneği ve modern tehditleri tanımlayan sürekli inovasyon döngüsünü temel olarak şekillendirdi.

2021 yılında AttackIQ’de Adversary Research Engineer olarak katıldıktan ve Cyber Threat Intelligence girişiminin kurulmasını üstlendiğinizden beri, sorumluluklarınız nasıl evrimleşti ve CTI projesinin koordinasyonunu, stratejik tehdit araştırmalarını ve adversary emülasyonlarının geliştirilmesini nasıl dengelersiniz?

AttackIQ’de Cyber Threat Intelligence (CTI) programını oluşturmak karmaşık bir görevdi. Geniş bir tehdit yelpazesine nhanh chóng görüş açısı kazanmamız gerekiyordu. Bir hizmet sağlayıcı olarak, odak noktamız tek bir sektöre, bölgeye veya ulusa sınırlı olamazdı. Bunun yerine, hem adversariaları hem de malware ailelerini kapsayan bir bilgi tabanı oluşturmamız gerekiyordu. Temel kurulduktan sonra, “Ağır Hitter” olarak adlandırdığım varlıklara odaklanmaya başladık: çok aktif ve etkili varlıklar, birden fazla sektörü, bölgeyi ve ülkeyi etkiliyor. Bu yaklaşım, müşteri tabanımıza en ilgili tehditleri önceliklendirmemizi sağlar.

Hızla değişen tehdit manzarası karşısında, istihbarat toplama, tehdit analizi ve adversary emülasyonunu dengelemek içten içe karmaşıktır. Her emülasyon tipi farklı zorluklar sunar. Bir yandan, nation-state emülasyonları genellikle yüksek düzeyde sofistike, özel hedeflere yönelik, uzun süreli kalma süreleri ile karakterizedir ve politik motivasyonlar tarafından yönlendirilir. Davranışlarını yeniden üretmek için derin analiz, sabır ve hassasiyet gerekir, bu da onları entelektüel olarak zorlu ve ödüllendirici kılar. Öte yandan, eCrime emülasyonları hızlı ve fırsatçıdır. Bu adversarialar yeni teknikler tanıtır, daha kısa kalma süreleri ile çalışır ve genellikle birden fazla sektörü ve bölgeyi etkiler. Paylaşılan, hazır araçlar ve commodity malware kullanmaları, gruplar arasında örtüşen TTP’ler ile, playbook’larını dinamik ve emülasyon için ilginç kılar.

Doğru dengeyi bulmak stratejik bir süreçtir. Araştırma ve emülasyon önceliklerini müşteri gereksinimleri ve küresel gelişmeler ile hizalarız, bunlar arasında jeopolitik gerginlikler, yeni açıklanan kritik vulnerabilite’ler ve uluslararası organizasyonlardan gelen danışmanlıklar bulunur, örneğin Cybersecurity and Infrastructure Security Agency (CISA) ve National Cyber Security Centre (NCSC). Son olarak, bu iş bir takım çalışmasıdır. Adversary Research Team (ART) inanılmaz yetenekli bireylerden oluşur ve katkıları gerçekçi ve güvenli emülasyonların mümkün olmasını sağlar. CTI, sürecin sadece bir parçasıdır; istihbaratı gerçek ve kontrol edilen emülasyonlara dönüştürmek, işbirliği, hassasiyet ve paylaşılan taahhüt gerektiren karmaşık bir zorluktur.

AttackIQ’un Adversary Research Team içinde, araştırma nasıl yapılandırılır ve önceliklendirilir, ve tehdit istihbaratı içgörülerini eyleme geçirilebilir adversary emülasyonlarına çevirirken en önemli zorluklar nelerdir?

Araştırma önceliklendirmemizi etkileyen birkaç faktör vardır. Birincil odak noktamız, müşteri tabanımızın en büyük segmentine en büyük riski oluşturan adversariaları emüle etmektir, böylece kaynaklar optimize edilir ve geniş etkiye sahip tehditlere öncelik verilir. Bu kapsam, vahşi ortamlarda gözlemlenen adversariaları ve malware ailelerini içerir. Geniş bir varlık yelpazesini sürekli olarak izleriz, önceliklendirme operasyonel gereksinim tarafından yönlendirilir. Yeni ortaya çıkan tehditler genellikle hızlı bir şekilde önceliklendirmeyi tetikler. Artan jeopolitik gerginlikler, kritik vulnerabilite’ler hakkında artan raporlama veya konsantre CERT danışmanlıkları konularını hızlı bir şekilde sıraya koyar.

Birincil zorluklarımızdan biri, tutarlı önceliklendirmeyi korurken ve gerçekçi, sofistike emülasyonları sunarken kaynakları dengelemektir. Geniş, yeniden kullanılabilir davranışlar geliştirmeye önem veriyoruz. Adversarialar ve malware aileleri arasında ortaklıkları tanımlayarak, birden fazla playbook’da tutarlı olarak görünen teknikleri ve prosedürleri yeniden üretmeye odaklanıyoruz. Bunlar daha sonra diğer emülasyonlara uyarlanabilir ve entegre edilebilir, böylece daha büyük esneklik ve ölçeklenebilirlik sağlar. Bu yaklaşım, yüksek yeniden kullanılabilirlik ve operasyonel alaka sahip davranışlara öncelik vermeyi sağlar, dar, tek seferlik uygulamalara büyük yatırımlar yapmaktansa.

Son RomCom araştırmınızda, bir temel backdoor’dan bir dizi platforma nasıl dönüştüğünü etkileyen ana dönemeç noktaları nelerdi ve malware bir standalone payload’dan tam bir platforma nasıl geçiş yapar?

RomCom vakası özellikle ilginçtir, çünkü Mayıs 2022’de uzaktan erişim ve temel veri çıkarma için tasarlanmış görece basit bir backdoor olarak ortaya çıktı. İlk büyük dönemeç noktası, RomCom 2.0’ın yayınlanmasıyla geldi, bu, casusluk operasyonları ve uzun süreli kalma için optimize edilmiş daha olgun bir araç setini tanıttı. Bu güncellemeler, veri toplama ve çıkarma yeteneklerini önemli ölçüde iyileştirdi, açık bir şekilde stratejik kullanım durumuna doğru bir kayma sinyali verdi.

Sonraki dönemeç noktası, Şubat 2023’te RomCom 3.0’ın tanıtılmasıyla geldi, bu, üç temel bileşenden oluşan modüler bir mimari sundu. Bu, esneklik ve fonksiyonellikte önemli bir sıçramayı temsil ediyordu, 42 farklı komutu destekliyordu, birçokları birbirinin ince varyasyonlarıydı, operatörün adaptasyon ve operasyonel rafine etme konusundaki odak noktasını vurguluyordu.

Sonraki sürümler, yetenekleri rafine etme ve operasyonel dayanıklılığı artırma konusuna odaklandı. RomCom, bir backdoor’dan eCrime grupları tarafından kullanılan bir komodite malware’ye, çeşitli suç operasyonlarını kolaylaştırmak ve ermögilmek için entegre edilen bir platforma evrimleşti. Bu evrim, özellikle Cuba, Industrial Spy ve Underground ransomware operasyonlarıyla bağlantılı olarak gösterildi, bu da eCrime ekosisteminin daha geniş bir parçası haline geldiğini ve devlet destekli adversariaların dikkatini çektiğini gösterdi.

Bu birleşme, eCrime ve nation-state adversariaları arasındaki sınırların giderek bulanıklaştığını teyit etti. Bir payload, standalone bir payload’dan tam bir platforma dönüştüğü anda, birden fazla, bazen çelişen operasyonel hedefleri desteklemeye başlar. O aşamada, tek bir taktik amacın ötesine geçer ve birden fazla, bazen çelişen operasyonel hedefleri destekler. Bu, operatörlerin payload’i tek bir amaç için değil, yeniden kullanılabilir altyapı olarak gördüklerini gösterir.

Siber güvenlik savunucuları, bu durumlarda atıf ve motivasyonu değerlendirirken farklı düşünmelidir. Nation-state aktivitesi ve eCrime adversariaları arasındaki sınırların bulanıklaşmasının arkasındaki birincil sürücüler nelerdir?

Nation-state ve eCrime operasyonları arasındaki birleşme, her iki taraf için pragmatik faktörler tarafından yönlendirilir. Devlet destekli adversarialar için, already doğrulanmış ve kanıtlanmış yetenekleri hızlı bir şekilde edinmek hedefidir. Mevcut araçları veya altyapıyı kullanarak, özel araçlar geliştirmek için büyük kaynaklar ayırmadan operasyonel esneklik kazanabilirler. Bir payload dayanıklı, etkili ve mevcut ise, neden onu yeniden icat etsinler? Öte yandan, eCrime operatörleri, devlet düzeyindeki kaynaklara, istihbarat verilerine, hedefleme verilerine ve korunan dağıtım kanallarına erişim kazanarak, operasyonel yeteneklerini nhanh chóng artırabilir ve finansal olarak güvence altına alabilirler.

RomCom, bu birleşmenin bir örneğidir. Başlangıçta ransomware operasyonlarını kolaylaştırmak için tasarlanmış bir komodite malware olarak ortaya çıktı, daha sonra Rus stratejik çıkarlarına bağlı faaliyetlerde kullanıldı, Ukrayna hükümet kurumlarını, NATO’ya bağlı varlıkları ve insani organizasyonları hedef aldı. Değerlendirmemiz, RomCom’un bir suç aracı olarak kaldığı halde, casusluk ve bozma hedeflerini desteklemek için kullanılan bir araç haline geldiğini gösteriyor.

Bu evrim, birincil ilkenin altını çiziyor: finansal veya politik olarak motive olsun, adversariaların etkisi kurban için aynı kalır. Bu bağlamda, tehdit bilgilendirilmiş savunma esas haline gelir. Kuruluşlar, atıf veya varsayılan motivasyona odaklanmak yerine, gerçekçi, gözlemlenen davranışlara karşı savunma ve dayanıklılıklarını doğrulamaya öncelik vermelidir.

RomCom, finansal ve jeopolitik motivasyonların adversarialar arasında birleşmesini ne gösterir? Özellikle, devlet destekli grupların eCrime altyapısını nasıl bir etkiye veya inkar edilebilirlik aracı olarak kullandıklarını yorumluyorsunuz?

RomCom, bir siber suç grubunun uzun süreli operasyonel tutarlılığını korurken, bağlantı ağını sürekli genişlettiğini gösterir. Faaliyetleri boyunca, özellikle Cuba, Industrial Spy ve Underground ransomware aileleriyle bağlantılar kurdu, eCrime ekosisteminin içinde derin entegrasyonunu gösterdi. Zaman içinde, bir backdoor’dan ransomware faaliyetlerini desteklemek için kullanılan bir platforma evrimleşti. Ukrayna hükümet kurumları, askeri personeli, insani organizasyonları ve NATO’ya bağlı ülkeleri hedef alması, Rus stratejik çıkarlarına bağlı operasyonel hizalamasını gösterdi. Bu, oportunistik suç değil, bilerek ve kasıtlı olarak toplanan istihbarat ve uzun süreli erişim operasyonlarıydı.

RomCom ayrıca, devlet destekli adversariaların eCrime araçlarını benimsemesi ve bunları stratejik hedeflere ulaşmak için kullanma eğilimini vurguluyor. Rusya, bu konuda bir örnek teşkil ediyor; geniş raporlar, Rus bağlantılı suç gruplarının devlet operasyonlarının bir uzantısı olarak veya doğrudan desteklenmesi olarak faaliyet gösterdiğini belgeliyor. Bu, devletlerin inkar edilebilir operasyonları dış kaynaklara aktarmasına, veya suç altyapısını ve araçlarını emmesine olanak tanır. Sonuç olarak, RomCom operatörleri ve bağlıları, etki ve finansal kazanç elde ederken, devletler yetenekli, inkar edilebilir varlıklara erişim kazanıyor.

Bu model, açık stratejik avantajlar sunuyor, bu nedenle giderek daha yaygın hale geliyor. Suç ortaklıkları, devletlere doğrudan atıf olmadan yetenek ve kapasite kazandırıyor, ve ortaya çıkan operasyonel belirsizlik, diplomatik ve yasal tepkileri karmaşıklaştırıyor. Malware aileleri etkili olarak devletcraft araçları haline geldi, geleneksel casusluğun yerini değil, tamamlayıcısı olarak, inkar edilebilir, ölçeklenebilir ve kendi kendine sufficient suç altyapısı aracılığıyla.

Modern malware genellikle bir endüstriye veya bölgeye sınırlı kalmaz. Bu, saldırganların öncelikleri veya kısıtlamaları hakkında neyi gösterir, ve hangi sektörlerin veya coğrafyaların próximo olarak çapraz alan genişlemesine maruz kalabileceğini düşünüyorsunuz?

Bazı adversarialar kendilerine kısıtlamalar uygulayabilir, ancak birçokları aciliyet ve krizleri ek enfeksiyon vektörleri olarak görür, bu da girişimleri hızlandırır ve savunmaları dağılmış veya gergin durumdayken yararlanırlar. Motivasyon, hedeflemeyi etkiler ancak sınırlamaz. Finansal olarak motive gruplar, yüksek kazanç potansiyeli veya operasyonel bağımlılık olan hedeflere öncelik verir, örneğin finans, ödeme işleyicileri ve büyük şirketler. Öte yandan, devlet destekli gruplar, jeopolitik hedeflere ulaşmak için kritik altyapı, savunma ve hükümet sektörlerine odaklanır. Ancak, bu motivasyonlar arasındaki örtüşme giderek daha yaygın hale geliyor.

“Spray-and-pray” taktikleri ve komodite araçları devam edecektir. Ransomware-as-a-Service (RaaS) modelleri, komodite araçlar ve otomatik tarama, finansal olarak motive adversariaların hedef kitlelerini agresif bir şekilde genişletmelerine olanak tanır. Herhangi bir açık, zayıf savunmalı hizmet potansiyel olarak hedef alınabilir. Coğrafi genişleme, fırsatların ve olgunluk boşluklarının takip eder. Hızla dijital dönüşüm yaşayan ancak siber güvenlik olgunluğu veya olay yanıt kapasitesi sınırlı olan bölgeler, ilk kompromizasyon ve ölçekleme operasyonları için çekici hedeflerdir. Öte yandan, iyi savunmalı bölgelerdeki yüksek değerli hedefler, genellikle tedarik zinciri ihlali veya dış kaynaklı erişim yoluyla etkilenir. Gelecekte, coğrafi genişleme, aktif jeopolitik çatışmaların yanında, stratejik çıkarları destekleyen istihbarat toplama ve savunma olgunluğu hala adversariaların sofistike düzeyinin gerisindeki bölgelerde olacaktır.

Gerçekçi adversary emülasyonları oluştururken, en zorlu teknik zorluklarla karşılaşıyorsunuz? Bu emülasyonların gerçek dünya tehditlerine yeterince temsilci olduğunu nasıl doğrularsınız, ve güvenilir bir şekilde simüle edilmesi zor olan davranışlar var mı?

En zorlu teknik zorluklardan biri, davranış sadakatini operasyonel risk olmadan elde etmektir. Emülasyonlar, algılama ve önleme kontrollerini doğrulamak için gerçek dünya davranışlarını precisa olarak yeniden üretmelidir, ancak üretim ortamlarında çalıştırılırken güvenli olmalıdır. Bu ticaret sürekli devam eder. Aşırı agresif uygulamalar sistemleri destabilize edebilir veya tehlikeli yanlış pozitif/negatif sonuçlar üretebilir, aşırı temkinli olanlar ise sadakat ve faydayı kaybeder. Adversariaların “boğaz noktalarına” odaklanıyoruz, yani bir ihlalin başarısı veya başarısızlığı belirleyen kritik davranışlar, ve savunma görünürlüğü ve tepki en çok önemli olan yerler. Bu kritik davranışlara odaklanarak sadakat, algılama kapsamı ve dayanıklılık doğrulaması için en yüksek değeri sunan emülasyonlar sağlıyoruz.

Bazı teknikler, kabul edilemez risk oluşturdukları veya sadık bir şekilde emüle edilemedikleri için sınırlı veya省略 edilir. Bir uygulamayı biraz yanlış yaparsanız, ya adversariaların gerçekten yapmadığı bir şeyi test edersiniz ya da korumaya çalıştığınız sistemi destabilize edersiniz. Diğer zorluklar, environmental contexto veya authenticated erişim gerektiren davranışlardan kaynaklanır. Ağa bağlı davranışlar da kısıtlıdır: örneğin, C2 için protokol kalıplarını ve beaconing davranışlarını yeniden üretiyoruz, ancak kötü amaçlı altyapıya bağlanmıyoruz.

Gerçekçi emülasyonlar oluşturmak, bu nedenle, bir mühendislik sürecidir: tanımla, belgele, uygula, test et, doğrula ve rafine et. Her iterasyon, sadakat, güvenlik ve operasyonel alaka arasında denge kurar, böylece emülasyonlar hem gerçekçi hem de dağıtılabilir olur.

Üç ila beş yıl sonrasına bakıldığında, malware sofistikesi, saldırgan metodolojisi veya tehdit ekosistemlerindeki trendler size en çok endişe verici veya ilginç gelenler nelerdir, ve tehdit bilgilendirilmiş savunma ve adversary emülasyonu alanında yolculuğuna başlayan organizasyonlar için temel adımlar nelerdir?

En ilginç ve endişe verici trendlerden biri, siber suç ekosistemlerinin artan sofistikesidir. Son on yılda, eCrime aktörleri etkilerini dramatik bir şekilde genişlettiler.

Daha önceki yıllarda, katılımcı sayısı sınırlı ve etkileri göreceli olarak marjinaldi. Bugün, birbirleriyle işbirliği yapan ve birbirlerini tamamlayan yüzlerce varlık vardır. Bu, meşru piyasalara benzer bir yapı ve verimlilikte kompleks, iş odaklı bir ekosistem oluşturur. Ransomware ekosistemi bunu mükemmel bir şekilde örnekler: onlarca aktif aile bir arada var olur, evrimleşir ve birbirlerinin yerini alır. Bu sürekli değişim, ilişkilerin giderek daha karmaşık bir ağını ortaya koyar.

Diğer bir tanımlayıcı trend, devlet ve suç operasyonları arasındaki birleşmedir. RomCom, bir backdoor’dan eCrime grupları tarafından kullanılan bir komodite malware’ye, çeşitli suç operasyonlarını kolaylaştırmak ve ermögilmek için entegre edilen bir platforma evrimleşti. Bu, devlet destekli adversariaların eCrime araçlarını benimsemesi ve bunları stratejik hedeflere ulaşmak için kullanma eğilimini vurguluyor.

Tehdit bilgilendirilmiş savunmaya yeni başlayan organizasyonlar için temel adım, MITRE ATT&CK Framework’ünü adversariaların davranışlarını anlamak ve tartışmak için paylaşılan bir dil olarak benimsemektir. ATT&CK, davranışsal bir taksonomi sağlar, bu da savunucuların algılamaları ve kontrollerini doğrudan adversary tekniklerine rather than static göstergelerine eşleştirmelerine olanak tanır. Davranışsal algılamayı imza tabanlı yaklaşımlara öncelik verin. İndikatörler sürekli değişir, ancak adversary teknikleri göreceli olarak stabil kalır, bu ilke Pyramid of Pain framework’ünde yakalanır.

Detaylı cevaplarınız için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular AttackIQ adresini ziyaret edebilir.